RGPD

I. Introduction

Le 20 juin 2018, la France a adopté la loi n° 2018-493 relative à la protection des données personnelles, afin de mettre en œuvre le Règlement Général sur la Protection des Données (RGPD). Cette loi révise et consolide la loi de 1978 relative à l'informatique et aux libertés.

La Commission Nationale de l'Informatique et des Libertés (CNIL), en tant qu'autorité nationale de contrôle, est chargée de superviser, guider et faire respecter le RGPD et ses textes d'application en France. Ainsi, la France s'est dotée d'un système de protection des données personnelles conforme aux exigences de l'Union européenne.

II. Scope

La réglementation d'application du RGPD en France s'applique :

à tout responsable de traitement ou sous-traitant établi sur le territoire français ;

à tout organisme situé hors de France proposant des biens ou des services à des personnes situées en France, ou surveillant leur comportement sur le territoire français.

Quel que soit le lieu où le traitement est effectué, dès lors qu'il concerne des données personnelles de personnes situées en France, la loi s'applique. Elle couvre les traitements automatisés ainsi que les traitements non automatisés faisant partie d'un système de fichiers. Les activités de nature exclusivement personnelle ou domestique n'entrent pas dans son champ d'application.

III. Data processing principles

Lawfulness, fairness and transparency: all processing must be based on a clear legal basis and conducted transparently.

Purpose limitation: data may only be used for specified and legitimate purposes.

Data minimization: only strictly necessary data should be collected.

Accuracy: data must be accurate and updated regularly.

Storage limitation: data should only be retained for the strictly necessary period, then deleted or anonymized.

Security and confidentiality: appropriate technical and organizational measures must be put in place to prevent any breach, alteration, or loss of data.

IV. Data subject rights

Conformément au RGPD et à la loi française, les personnes disposent des droits suivants :

Droit à l'information et à l'accès ;

Droit de rectification ;

Droit à l'effacement (droit à l'oubli) ;

Droit à la limitation du traitement ;

Droit à la portabilité des données ;

Droit d'opposition.

For minors under 15 years of age, the processing of their data requires the consent of a parent or legal representative, and the information must be provided to them in clear and understandable language.

V. Processor's obligations

Processors must:

strictly follow the data controller's written instructions;

implement adequate security measures;

assist the data controller in fulfilling their obligations, particularly in responding to data subjects' requests;

notify the data controller without delay in case of a data breach, who must then inform the CNIL within 72 hours.

Data controllers must maintain a record of processing activities and conduct a Data Protection Impact Assessment (DPIA) in case of high risk. Some organizations must also appoint a Data Protection Officer (DPO) and register with the CNIL.

VI. International data transfers

When a transfer to a country outside the EU is envisaged, the data controller must ensure an adequate level of protection. This can be done via:

an adequacy decision by the European Commission;

or the signing of Standard Contractual Clauses (SCCs).

Since the invalidation of the "Privacy Shield" on July 16, 2020, French entities must use the new Standard Contractual Clauses adopted on June 4, 2021, or any other legal mechanism.

VII. Control and enforcement

The CNIL has extensive powers, including:

issuing warnings or formal notices;

limiting or prohibiting certain processing activities;

imposing fines of up to €20 million or 4% of global turnover, whichever is higher.

French law also allows individuals to make provisions for the use of their data after their death. Failing this, processing must comply with current regulations. The French framework for GDPR implementation aims to guarantee individual rights, strengthen business compliance, and promote trust in the digital environment.